Wat is open banking (PSD2), en is het veilig?

Zodra een app zoals Saldo vraagt om je bankrekening te koppelen, is de eerste reactie bij veel mensen begrijpelijk: waarom zou ik mijn bankgegevens delen met een app die ik net ken? Het korte antwoord: dat doe je ook niet. Hoe dat precies werkt, leggen we hieronder uit.

PSD2: de Europese regel die dit mogelijk maakt

Sinds 2019 geldt in de Europese Unie de PSD2-richtlijn (herziene richtlijn betaaldiensten). Die verplicht banken om — mét jouw expliciete toestemming — je transactiegegevens beschikbaar te stellen aan externe partijen via een beveiligde, gestandaardiseerde technische koppeling. Vóór PSD2 moest je voor dit soort diensten soms je bankgegevens letterlijk invullen bij een derde partij ("screen scraping"); dat is precies wat PSD2 heeft willen vervangen.

Wat er technisch gebeurt als je een bank koppelt

Een koppeling verloopt in de praktijk zo:

1. Je kiest je bank in de app.
2. Je wordt doorgestuurd naar de eigen inlogomgeving van jóuw bank — dezelfde app of pagina die je al kent.
3. Je logt daar in en bevestigt dat je toestemming geeft voor alleen-lezen toegang tot je transacties.
4. Je bank stuurt vanaf dat moment (via een tussenpartij met een AISP-vergunning) je transactiegegevens door naar de app — niet je inloggegevens, alleen de transactiedata zelf.

Die tussenpartij — een "aggregator" — moet een vergunning hebben als Account Information Service Provider (AISP), verstrekt en gecontroleerd door een Europese toezichthouder. Zonder zo'n vergunning mag een partij dit soort koppelingen helemaal niet aanbieden.

Wat een app als Saldo wél en niet kan

• Wel: transacties, saldo en rekeninggegevens lezen — zodat we kunnen categoriseren en patronen kunnen laten zien.
• Niet: geld overmaken, betalingen doen, of iets anders namens jou uitvoeren. Dat vereist een ander type vergunning (PISP) en is een heel andere koppeling dan waar Saldo gebruik van maakt.
• Niet: je bankwachtwoord of inloggegevens zien — die blijven uitsluitend tussen jou en je bank.

Kun je het weer intrekken?

Ja, altijd. Zowel via de instellingen van de app die de koppeling gebruikt, als rechtstreeks bij je eigen bank. Zodra je intrekt, stopt het delen van nieuwe transactiegegevens.